Spring Cloud Function ve Spring Framework Uzaktan Kod Çalıştırma Zafiyetleri

Spring Cloud Function ve Spring Framework Uzaktan Kod Çalıştırma Zafiyetleri

CVE-2022-22963 güvenlik zafiyeti kapsamında; Spring Cloud Function sürüm 3.1.6, 3.2.2 ve daha eski desteklenmeyen sürümlerde, yönlendirme fonksiyonu kullanılırken, bir kullanıcının yönlendirme tanımı olarak özel hazırlanmış bir SpEL sağlaması uzaktan kod yürütülmesine ve yerel kaynaklara erişime neden olabilmektedir.

CVE-2022-22965 güvenlik zafiyeti kapsamında; Spring MVC ve Spring WebFlux uygulamalarında sömürülmesi halinde etkilenen sistemlerde uzaktan kod çalıştırılmasına neden olabilecek yeni bir zafiyet duyurulmuştur. Hâlihazırda WAR formatında TomCat uygulama sunucusu üzerinde çalıştırılan Spring MVC ve Spring WebFlux uygulamalarının etkilendiği düşünülmektedir, fakat zafiyetin genel doğası henüz bilinmeyen sömürü kodlarının şimdi veyahut gelecekte var olabileceğine işaret etmektedir (NIST tarafından bu zafiyetler için henüz değerlendirme yapılıp CVSS skoru verilmemiştir).

Etkilenen Sistemler

Aşağıdaki şartları taşıyan sistemlerin etkilendiği düşünülmektedir;

CVE-2022-22963;

• Spring Cloud Function sürüm 3.1.6,
• Spring Cloud Function sürüm 3.2.2,
• Ayrıca desteklenmeyen diğer eski sürümler.

CVE-2022-22965;

• JDK sürüm 9 ve üstü (ya da eşlenik sistemler),
• Uygulama sunucusu olarak Apache TomCat kullanan sistemler,
• WAR formatında sürülen uygulamalar,
• Spring-webmvc veya spring-webflux kullanan/bağıntısı olan uygulamalar.

IoC’ler

-

Çözüm Önerileri

Aşağıda belirtilen sürümlere güncelleme yapılması önerilmektedir;

CVE-2022-22963;

• Spring Cloud Function sürüm 3.1.7 veya 3.2.3

CVE-2022-22965;

• Spring sürüm 5.3.18 ve üstü veya Spring sürüm 5.2.20 ve üstü

Ayrıca zafiyetlerin etkilerinden korunmak için; McAfee IPS ile ilgili olarak teknik ekibimiz tarafından hazırlanan adımları takip etmeniz önerilmektedir.

CVE / CWE

CVE-2022-22963, CVE-2022-22965

Ek Bilgiler

• https://tanzu.vmware.com/security/cve-2022-22963
• https://tanzu.vmware.com/security/cve-2022-22965
• https://spring.io/blog/2022/03/31/spring-framework-rce-early-announcement

* CVSS 3.1 skoru (10 üzerinden) 7.0-8.9 olanlar “yüksek”, 9.0-10.0 olanlar “kritik” zafiyet olarak değerlendirilmektedir.